Op 11 november 2026 dichtte Apache een kritiek lek in zijn webserver. Draait je website op Apache? Dan lees je hier wat er speelt en wat je moet doen.
Apache is een webserver: de software die bij heel wat hostingbedrijven de pagina's van je website naar je bezoekers stuurt. De nieuwe versie 2.4.71 dicht drie lekken, waarvan één kritiek. Heb je een website, dan doe je er goed aan om even na te gaan of je server bijgewerkt is.
Wat is er aan de hand?
Het kritieke lek (CVE-2026-119618) zit in het onderdeel van Apache dat HTTP/2 afhandelt, de snellere manier waarop moderne browsers pagina's ophalen. Door een fout in dat onderdeel kan een aanvaller het geheugen van de server beschadigen en in het slechtste geval zijn eigen code laten uitvoeren. Hij hoeft daarvoor nergens in te loggen. Apache noemt het lek zelf kritiek, Red Hat geeft het een ernstscore van 9,8 op 10.
Het lek is gevonden door een geautomatiseerde scanner van het AI-bedrijf Anthropic en, los daarvan, door onderzoekers van Google. Zij meldden het eind oktober en begin november aan Apache, dat op 11 november de correctie uitbracht.
Is mijn website kwetsbaar?
Kwetsbaar zijn de Apache-versies 2.4.55 tot en met 2.4.70, op voorwaarde dat HTTP/2 aanstaat. Dat is vaak zo, omdat het websites sneller maakt. De veilige versie is 2.4.71, of een pakket van je Linux-distributie met dezelfde correctie. Onder meer Debian heeft zo'n update intussen uitgebracht.
Draait je website op een andere webserver, zoals Nginx of LiteSpeed, dan speelt dit lek niet.
Belangrijk: het lek zit in de webserver en niet in WordPress, je thema of je plugins. Een update van je website lost het dus niet op. De oplossing moet op de server gebeuren.
Wordt het lek al misbruikt?
Volgens beveiligingsbedrijf Censys was er tot en met 12 november 2026 geen misbruik gemeld. Er circuleert wel al code waarmee een kwetsbare server kan vastlopen. Volgens Bitsight is niet bevestigd dat een aanvaller daarmee ook echt code kan uitvoeren.
Censys telt ongeveer 1,5 miljoen servers met een kwetsbaar versienummer. Dat is wellicht een overschatting: niet elke server gebruikt HTTP/2 en sommige zijn al bijgewerkt zonder dat het versienummer veranderde. Toch is wachten geen goed idee. Na zo'n bekendmaking zoeken aanvallers het internet snel af naar servers die nog niet bijgewerkt zijn.
Wat moet je doen?
- Vraag het na bij je hostingpartij. Draait je website op Apache, en is die al bijgewerkt naar 2.4.71 of een gelijkwaardige versie? Een professioneel hostingbedrijf kan daar meteen op antwoorden.
- Beheer je zelf een server? Installeer de update via je pakketbeheer of je controlepaneel en herstart Apache. Kijk daarna het versienummer na.
- Kan je niet meteen updaten? Zet HTTP/2 dan tijdelijk uit met de regel
Protocols http/1.1in de configuratie van Apache en herstart. Je website blijft werken, alleen iets minder snel. Dat is een noodoplossing: de update blijft nodig. - Houd je website in de gaten. Onbekende beheerders, vreemde bestanden of plotse doorverwijzingen kunnen wijzen op een inbraak. Zorg ook voor een recente back-up.
Hosting bij VCO
Host je je website bij VCO? Dan hoef je niets te doen. Op onze server is Apache op 13 november 2026 bijgewerkt naar versie 2.4.71 en is de webserver herstart. Het lek is daar dus gedicht. Meer weten over onze aanpak? Lees onze tips over websitebeveiliging voor kleine zaken of bekijk onze hosting en onderhoud. Eerder dit najaar schreven we over het PHP-lek PHP2Shell.
Bronnen
- Beveiligingsoverzicht van Apache HTTP Server 2.4
- Red Hat over CVE-2026-119618
- Debian security tracker
- Analyse van Censys
- Analyse van Bitsight
Laatst nagekeken op 13 november 2026.
